Segundo a norma NBR ISO/IEC 27001, a organização deve realizar avaliações de riscos de segurança da
informação a intervalos planejados, quando mudanças
significativas são propostas ou ocorrem, levando-se em
conta os critérios estabelecidos de aceitação do risco
e para desempenho das avaliações dos riscos de SI.
Quanto aos resultados das avaliações, a organização
deve: